BIO2: de Baseline Informatiebeveiliging Overheid uitgelegd

De BIO2 is de Baseline Informatiebeveiliging Overheid versie 2: het gezamenlijke normenkader voor informatiebeveiliging van het Rijk, provincies, gemeenten en waterschappen. De BIO2 bouwt voort op ISO/IEC 27001 en ISO/IEC 27002:2022 en voegt daar specifieke overheidsmaatregelen aan toe. Sinds 15 augustus 2026 zijn die maatregelen via de Cyberbeveiligingswet wettelijk verplicht voor de overheidsorganisaties die onder die wet vallen (Digitale Overheid, geraadpleegd oktober 2026).

In deze gids lees je wat de BIO2 inhoudt, voor welke organisaties hij geldt, hoe hij is opgebouwd, hoe je erover verantwoording aflegt en hoe je hem stap voor stap invoert. Werk je bij een gemeente, provincie, waterschap, gemeenschappelijke regeling of uitvoeringsorganisatie, of lever je diensten aan de overheid, dan helpt dit overzicht je om de juiste prioriteiten te stellen.

Wat is de BIO2?

De BIO2 is de opvolger van de BIO versie 1.04 en vormt de gemeenschappelijke ondergrens voor informatiebeveiliging binnen de hele overheid. Hij beschrijft welke beheersmaatregelen een overheidsorganisatie minimaal neemt en hoe ze die verankert in een managementsysteem.

Een baseline is een afgesproken basisniveau. Overheden wisselen voortdurend informatie uit en werken in ketens: een gemeente levert gegevens aan het Rijk, een gemeenschappelijke regeling voert taken uit voor meerdere gemeenten, een waterschap deelt gegevens met de provincie. Als iedere schakel hetzelfde basisniveau hanteert, kunnen ketenpartners op elkaar bouwen zonder elkaar telkens apart te toetsen. Dat is de reden dat er één kader is voor alle bestuurslagen.

De BIO2 wordt beheerd door de interbestuurlijke werkgroep BIO onder voorzitterschap van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK). Daarin zitten onder meer de CIO Rijk, de VNG, het IPO, de Unie van Waterschappen, grote uitvoeringsorganisaties, Forum Standaardisatie, het NCSC en het Centrum Informatiebeveiliging en Privacybescherming (CIP). Het CIP ondersteunt de invoering met onder meer een zelfevaluatie, veelgestelde vragen en een overzicht van wat er ten opzichte van eerdere versies is veranderd (Digitale Overheid). De teksten en hulpmiddelen staan op de website van de BIO.

De versie die nu telt is BIO2 versie 1.3, gepubliceerd in de Staatscourant (Stcrt. 2026, 7416). Een volgende versie staat gepland voor eind 2027; het CIP evalueert de BIO2 in de loop van 2026 samen met alle bestuurslagen (Digitale Overheid, maart 2026).

Voor wie geldt de BIO2?

De BIO2 geldt in feite voor alle overheidsorganisaties. Hoe de verplichting juridisch doorwerkt, hangt af van het type organisatie: voor organisaties onder de Cyberbeveiligingswet (Cbw) volgt de plicht uit een ministeriële regeling, voor de overige overheidsonderdelen uit verplichtende zelfregulering (Digitale Overheid).

Organisatie	Hoe de BIO2 doorwerkt	Toezicht onder de Cbw
Ministeries	Cbw, via de Cyberbeveiligingsregeling sector overheid	Rijksinspectie Digitale Infrastructuur (RDI)
Provincies	Cbw, via de Cyberbeveiligingsregeling sector overheid	RDI
Gemeenten	Cbw, via de Cyberbeveiligingsregeling sector overheid; verantwoording via ENSIA	RDI
Gemeenschappelijke regelingen	Cbw als de regeling voldoet aan de overheidscriteria uit de wet; anders via de deelnemende organisaties als opdrachtgever	RDI, voor zover onder de Cbw
Zelfstandige bestuursorganen en uitvoeringsorganisaties	Cbw als ze aan de criteria voldoen; anders via hun opdrachtgever	RDI, voor zover onder de Cbw
Waterschappen	Cbw, via een eigen regeling van het ministerie van Infrastructuur en Waterstaat (IenW)	Inspectie Leefomgeving en Transport (ILT)
Hoge Colleges van Staat, Defensie, AIVD, politie	Verplichtende zelfregulering via een besluit van de ministerraad	Vallen buiten de Cbw

Bronnen bij deze tabel: de Cyberbeveiligingsregeling sector overheid (artikel 2 en de toelichting, Stcrt. 2026, 27679), het aanwijzingsbesluit voor de RDI (Stcrt. 2026, 27674), het aanwijzingsbesluit van IenW voor de ILT (Stcrt. 2026, 24155) en de BIO pagina van Digitale Overheid.

Voor gemeenschappelijke regelingen vraagt dit om een eigen beoordeling. Volgens de VNG valt een gemeenschappelijke regeling niet automatisch onder de Cbw: de regeling toetst zelf of ze voldoet aan de overheidscriteria uit de wet. Valt ze eronder, dan is de gemeenschappelijke regeling zelf verantwoordelijk voor de naleving en dragen de deelnemende gemeenten die verantwoordelijkheid niet (VNG, bijgewerkt 20 augustus 2026).

Leveranciers aan de overheid vallen zelf buiten de BIO2. Voor hen werkt het kader door via inkoopvoorwaarden en contracten. Verderop in dit artikel lees je wat dat in de praktijk betekent.

Wanneer is de BIO2 vastgesteld en sinds wanneer is hij verplicht?

Het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) stelde de BIO2 vast op 23 september 2025. Hij gold direct als verplichtende zelfregulering voor het Rijk, provincies en waterschappen en als richtinggevend kader voor gemeenten. Sinds 15 augustus 2026 is BIO2 versie 1.3 via de Cbw wettelijk verplicht voor de overheidsorganisaties die onder die wet vallen (Digitale Overheid, 24 september 2025; Digitale Overheid, oktober 2026).

Datum	Wat er gebeurde
23 september 2025	OBDO stelt de BIO2 vast. Verplichtende zelfregulering voor Rijk, provincies en waterschappen, richtinggevend voor gemeenten.
Maart 2026	BIO2 versie 1.3 verschijnt in de Staatscourant voor alle bestuurslagen en vervangt versie 1.04 en versie 1.2.
3 juli 2026	De staatssecretaris van BZK stelt de Cyberbeveiligingsregeling sector overheid vast (gepubliceerd 5 augustus 2026).
15 augustus 2026	Cbw, Cyberbeveiligingsbesluit en de regeling treden in werking. De overheidsmaatregelen uit BIO2 versie 1.3 zijn vanaf dan verplicht.
Eind 2027	Beoogde publicatie van de volgende BIO2 versie.

Bronnen bij deze tabel: Digitale Overheid over de vaststelling, Digitale Overheid over versie 1.3, de Cyberbeveiligingsregeling sector overheid en Rijksoverheid, 15 augustus 2026.

Let op het versienummer. De ministeriële regeling verwijst naar versie 1.3 zoals gepubliceerd in de Staatscourant. Als de pdf op de BIO website en de regeling van elkaar afwijken, gaat de regeling voor (Digitale Overheid). Werk je nog met een uitgeprinte of eerder gedownloade versie 1.2, vergelijk die dan met versie 1.3.

Hoe is de BIO2 opgebouwd?

De BIO2 bestaat uit drie lagen: het managementsysteem uit ISO/IEC 27001, de beheersmaatregelen uit ISO/IEC 27002:2022 die je op basis van risico’s kiest, en de overheidsmaatregelen die het minimum vormen zodra een ISO maatregel van toepassing is. De BIO2 is gebaseerd op de Nederlandse uitgaven van deze normen: NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022 (Digitale Overheid).

Het managementsysteem uit ISO/IEC 27001

Artikel 3 van de Cyberbeveiligingsregeling sector overheid schrijft voor dat de organisatie de managementsystematiek van NEN-EN-ISO/IEC 27001:2023 toepast; dat is de Nederlandse uitgave van ISO/IEC 27001:2022 (Stcrt. 2026, 27679). Een managementsysteem voor informatiebeveiliging (ISMS) is de vaste cyclus waarmee je beveiliging bestuurt: je bepaalt de context en scope, analyseert risico’s, kiest maatregelen, stelt doelen, voert interne audits uit en laat het bestuur periodiek beoordelen of het systeem werkt. Wil je de onderdelen van zo’n ISMS in detail zien, lees dan onze gids voor ISO 27001 implementatie.

De beheersmaatregelen uit ISO/IEC 27002:2022

ISO/IEC 27002:2022 bevat 93 beheersmaatregelen, verdeeld over vier thema’s: organisatorisch, mensgericht, fysiek en technologisch. De vorige editie telde 114 maatregelen in veertien hoofdstukken (SGS, juli 2022). In de BIO2 vind je die indeling terug in de nummering 5 tot en met 8. Artikel 5 van de regeling verplicht je ten minste deze beheersmaatregelen te gebruiken bij de keuze van je maatregelen, met uitzondering van 5.32 en 5.34 (Stcrt. 2026, 27679).

De overheidsmaatregelen

Bij een deel van de ISO maatregelen voegt de BIO2 eigen overheidsmaatregelen toe. Ze dragen het nummer van de ISO maatregel met een volgnummer erachter, bijvoorbeeld 8.24.05. Het principe: als je op basis van je risicoafweging een ISO maatregel nodig hebt, pas je minimaal de bijbehorende overheidsmaatregelen toe. Waar je risico’s daarom vragen, neem je extra maatregelen, bijvoorbeeld uit de CSIR voor operationele technologie of uit NEN 7510 voor zorginformatie (Digitale Overheid).

Maatregelen die aansluiten op de Cbw dragen in de BIO2 het label basishygiëne (Kiwa, oktober 2025). Dat label helpt je bij het prioriteren: dit zijn de maatregelen waar de wettelijke zorgplicht het directst op rust.

Risicogestuurd werken in plaats van basisbeveiligingsniveaus

De BIO versie 1.04 werkte met drie basisbeveiligingsniveaus (BBN1, BBN2 en BBN3). Een systeem kreeg een niveau en daarmee een vast pakket maatregelen (BIO 1.04zv). De BIO2 laat die indeling los en vervangt haar door een risicogestuurde aanpak (Digitale Overheid).

Risicogestuurd werken betekent dat je per proces of systeem vaststelt wat er mis kan gaan, hoe waarschijnlijk dat is en wat de gevolgen zijn, en daar je maatregelen op afstemt. Dat vraagt meer denkwerk vooraf, en het levert maatregelen op die beter passen bij wat je organisatie werkelijk doet. Een praktische aanpak lees je in onze risicoanalyse in vijf stappen.

Systemen met hoge impact

Artikel 4 van de regeling vraagt dat je een overzicht bijhoudt van je meest kritieke netwerk en informatiesystemen; de regeling spreekt van cruciale systemen. Voor decentrale overheden zijn dat de systemen met impactniveau hoog of zeer hoog volgens de impacttabel in bijlage 2. Voor de centrale overheid gelden de belangniveaus 1, 2 of 3 uit bijlage 1 (Stcrt. 2026, 27679). Na de consultatie is de impacttabel een hulpmiddel geworden om het belang van systemen te bepalen; voor de meldplicht gelden aparte drempelwaarden.

Welke maatregelen zijn uitgezonderd?

De Cbw gaat alleen over de beveiliging van netwerk en informatiesystemen. Drie overheidsmaatregelen vallen daarbuiten, bijvoorbeeld omdat ze over informatie op papier gaan. Ze zijn in de BIO2 gemarkeerd en blijven gelden als verplichtende zelfregulering (Digitale Overheid, maart 2026).

Artikel 5 van de regeling zondert de ISO maatregelen 5.32 (intellectuele eigendomsrechten) en 5.34 (privacy en bescherming van persoonsgegevens) uit, net als de overheidsmaatregelen 5.32.01 tot en met 5.34.01 (Stcrt. 2026, 27679). Volgens Digitale Overheid is ISO maatregel 5.33 (bescherming van registraties) juist wettelijk verplicht en wordt deze onduidelijkheid in de volgende versie rechtgezet (Digitale Overheid). Praktisch advies: blijf deze maatregelen gewoon uitvoeren. Privacy valt onder de AVG en de zelfregulering geldt nog steeds.

Hoe leg je verantwoording af over de BIO2?

Verantwoording over de BIO2 loopt zoveel mogelijk via bestaande lijnen. Gemeenten gebruiken ENSIA en de toezichthouder hergebruikt die informatie. Voor iedere organisatie geldt dat je de opzet, het bestaan en de werking van je maatregelen moet kunnen aantonen (artikel 5, derde lid, Cyberbeveiligingsregeling sector overheid).

Die drie begrippen komen uit de auditwereld. Opzet betekent dat een maatregel goed is ontworpen en beschreven. Bestaan betekent dat hij op een bepaald moment echt is ingevoerd. Werking betekent dat hij gedurende een periode aantoonbaar heeft gefunctioneerd, bijvoorbeeld blijkend uit logbestanden, notulen of registraties.

Gemeenten: ENSIA

ENSIA (Eenduidige Normatiek Single Information Audit) is het instrument waarmee gemeenten jaarlijks en op dezelfde manier verantwoording afleggen over informatiebeveiliging. Het college legt verantwoording af aan de gemeenteraad; dezelfde informatie dient voor de verantwoording aan toezichthouders van het Rijk (Digitale Overheid). De vaste cyclus volgens de VNG (VNG):

• Zelfevaluatie van 1 juli tot en met 31 december.
• Opstellen van de verantwoording van 1 januari tot 30 april.
• Behandeling door het college vóór 30 april.
• Jaarstukken naar de provincie vóór 15 juli.

Voor verantwoordingsjaar 2025 was de BIO versie 1.04 nog het kader (notitie verantwoordingsstelsel ENSIA 2025). Volgens de VNG is de jaarlijkse ENSIA rapportage het middel waarmee een gemeente laat zien in hoeverre ze aan de zorgplicht uit de Cbw voldoet, en heeft de RDI recht op die informatie (VNG). BZK verkent daarnaast of ENSIA ook voor andere bestuurslagen bruikbaar is voor de verantwoording over de Cbw (toelichting bij de regeling).

De collegeverklaring voor DigiD en Suwinet

Voor DigiD en Suwinet stelt het college een collegeverklaring op, die wordt gecontroleerd door een bij NOREA geregistreerde IT auditor met een assurancerapport. Voor verantwoordingsjaar 2025 lag de deadline voor deze stukken op 30 april 2026 (notitie verantwoordingsstelsel ENSIA 2025). Op 19 juni 2025 is besloten dat gemeenten zich vanaf 2026 over DigiD en Suwinet alleen nog volgens de zogeheten 3000D methode verantwoorden (VNG).

Provincies, waterschappen, Rijk en uitvoeringsorganisaties

Deze organisaties leggen verantwoording af binnen hun eigen planning en controlcyclus. Ook voor hen geldt de eis uit artikel 5 dat opzet, bestaan en werking aantoonbaar zijn. Richt je verantwoording zo in dat dezelfde informatie bruikbaar is voor bestuur, accountant en toezichthouder, zodat je niet voor iedere partij een apart dossier bouwt.

Wat doet de toezichthouder?

De RDI houdt namens de minister van BZK toezicht op ministeries, provincies, gemeenten, gemeenschappelijke regelingen en zelfstandige bestuursorganen, de laatste twee voor zover ze onder de Cbw vallen. Op waterschappen houdt de ILT toezicht (toelichting bij de regeling; Stcrt. 2026, 24155). De RDI maakt gebruik van bestaande verantwoordingsrapportages en kan zo nodig onderzoek doen of gerichte inspecties uitvoeren. Volgens de VNG werkt de RDI risicogericht, begint ze met verbetermaatregelen en kan ze een last onder dwangsom of een bestuurlijke boete opleggen (VNG).

Wie is verantwoordelijk voor de BIO2: bestuur, CISO of FG?

Het bestuur is eindverantwoordelijk voor de BIO2 en moet de maatregelen goedkeuren. De CISO adviseert, coördineert en bewaakt, de functionaris gegevensbescherming (FG) houdt toezicht op de naleving van de AVG en lijnmanagers zijn eigenaar van de risico’s in hun processen.

Het bestuur

Onder de Cbw keurt het bestuur de beveiligingsmaatregelen goed, houdt het toezicht op de uitvoering en volgen bestuurders een training (Rijksoverheid, 15 augustus 2026). Voor gemeenten betekent dit dat het college de maatregelen goedkeurt. Ieder collegelid moet binnen twee jaar na inwerkingtreding van de Cbw de verplichte training hebben gevolgd, een certificaat hebben behaald en de kennis actueel houden (VNG). Bij provincies gaat het om gedeputeerde staten, bij waterschappen en gemeenschappelijke regelingen om het dagelijks bestuur. Het CIP heeft voor bestuurders de handreiking De bestuurder aan zet uitgebracht (Digitale Overheid).

De CISO

De Chief Information Security Officer is de spil in het managementsysteem. Hij of zij stelt het beleid op, adviseert het bestuur en de lijn over risico’s, bewaakt de voortgang en rapporteert over de stand van zaken. Leg vast dat de CISO rechtstreeks toegang heeft tot het bestuur en niet zelf verantwoordelijk is voor de uitvoering van de maatregelen die hij moet beoordelen. Zo blijft er ruimte voor een onafhankelijk oordeel. Het CIP biedt een CISO toolbox met hulpmiddelen (Digitale Overheid).

De functionaris gegevensbescherming

Overheidsinstanties zijn op grond van de AVG altijd verplicht een FG aan te stellen (Binnenlands Bestuur, 2018). De FG ziet toe op de verwerking van persoonsgegevens en is daarin onafhankelijk. Dat raakt de BIO2 direct: maatregel 5.34 over privacy valt buiten de Cbw regeling. De AVG blijft volledig van kracht. Stem daarom af hoe CISO en FG samenwerken bij risicoanalyses, datalekken en verwerkersovereenkomsten, en houd de rollen gescheiden.

Proceseigenaren en lijnmanagement

De lijnmanager die verantwoordelijk is voor een proces of systeem is ook eigenaar van de bijbehorende informatierisico’s. Onder de BIO 1.04 hing de rol van de proceseigenaar af van het basisbeveiligingsniveau (BIO 1.04zv). De BIO2 beschrijft verantwoordelijkheden in meer algemene zin (Kiwa). Leg daarom zelf vast wie welke risico’s mag accepteren en tot welk niveau.

Wat betekent de BIO2 voor leveranciers aan de overheid?

Leveranciers krijgen met de BIO2 te maken via contracten en inkoopvoorwaarden. Overheden leggen de relevante overheidsmaatregelen bij hun leveranciers neer, afhankelijk van het risico, het soort dienst en de toegang tot gevoelige informatie.

In de BIO2 staan eisen aan leveranciers onder meer in de overheidsmaatregelen bij 5.20 tot en met 5.24, 8.05.01 en 8.24.05 (Kiwa). Daarnaast verplicht de Cbw organisaties om ook de risico’s in hun toeleveringsketen te beheersen. Als leverancier kun je daarom vragen verwachten over je eigen managementsysteem, je incidentprocedure en je meldtermijnen, en over hoe je zelf je onderaannemers beheerst.

Een ISO 27001 certificaat helpt, mits de scope de geleverde dienst dekt. Onder de BIO 1.04 gold al dat een certificaat de verantwoording over de BIO niet volledig vervangt (BIO 1.04zv). Breng daarom per overheidsmaatregel in kaart hoe je eraan voldoet, zodat je een opdrachtgever snel en volledig kunt antwoorden.

Hoe implementeer je de BIO2? Een stappenplan

Je implementeert de BIO2 door eerst je positie onder de Cbw vast te stellen, daarna risico’s en maatregelen per proces te bepalen en tot slot de werking aantoonbaar te maken. De volgorde hieronder werkt zowel voor een eerste invoering als voor de overgang vanaf BIO 1.04.

1. Stel je positie vast. Bepaal of je organisatie onder de Cbw valt en welke regeling en toezichthouder bij je horen. Voor een gemeenschappelijke regeling of zelfstandig bestuursorgaan betekent dit een eigen toets aan de overheidscriteria. Controleer of de registratie bij het NCSC via MijnNCSC is afgerond; de VNG gaf aan dat gemeenten en onder de wet vallende gemeenschappelijke regelingen dit vóór de inwerkingtreding moesten regelen (VNG; NCSC infosheet registratieplicht).
2. Leg de bestuurlijke opdracht en rollen vast. Laat het bestuur de aanpak vaststellen en benoem CISO, FG en risico eigenaren. Plan de verplichte bestuurderstraining.
3. Breng scope en systemen in kaart. Maak een overzicht van processen, informatiesystemen, koppelingen en leveranciers. Markeer de systemen met impactniveau hoog of zeer hoog volgens bijlage 2 van de regeling.
4. Doe een nulmeting. Vergelijk de huidige situatie met BIO2 versie 1.3. Het CIP biedt een zelfevaluatie, de BIO2 in Excel en een lijst met wijzigingen ten opzichte van eerdere versies. Heb je al met BIO 1.04 gewerkt, begin dan bij die wijzigingenlijst; lees ook ons artikel over de overstap van BIO naar BIO2.
5. Voer een risicoanalyse uit per proces of systeem. Dit vervangt de oude indeling in basisbeveiligingsniveaus. Leg vast welke risico’s je accepteert en wie dat besluit.
6. Stel een verklaring van toepasselijkheid op. Dat is een lijst van alle beheersmaatregelen met per maatregel de keuze om hem wel of niet toe te passen, de motivatie en de bijbehorende overheidsmaatregelen.
7. Maak een plan van aanpak met prioriteiten. Begin met de maatregelen met het label basishygiëne, het proces voor het melden van incidenten en de afspraken met leveranciers. Verdeel de rest over een realistische planning.
8. Voer in en leg bewijs vast. Zorg dat je opzet, bestaan en werking kunt aantonen. Denk aan vastgestelde procedures, registraties, logbestanden en verslagen van tests.
9. Meet, audit en verantwoord. Plan interne audits, laat het bestuur jaarlijks het managementsysteem beoordelen en sluit aan op ENSIA of je eigen verantwoordingscyclus.

Welke fouten worden vaak gemaakt bij de BIO2?

De meeste valkuilen ontstaan wanneer de BIO2 wordt behandeld als afvinklijst voor de IT afdeling. Het kader vraagt om risicoafwegingen, bestuurlijke betrokkenheid en aantoonbare werking.

• Afvinken zonder risicoanalyse. Wie alle maatregelen naloopt zonder risicoafweging, mist de kern van de BIO2 en kan keuzes niet onderbouwen richting toezichthouder.
• De oude basisbeveiligingsniveaus doortrekken. Een BBN2 label één op één omzetten naar een maatregelpakket levert een schijnzekerheid op. Doe de risicoanalyse opnieuw.
• Informatiebeveiliging bij IT parkeren. Personeelsbeleid, inkoop, fysieke beveiliging en bestuur maken allemaal deel uit van het kader.
• Alleen de opzet aantonen. Een mooi beleidsdocument zonder bewijs van werking houdt geen stand bij een audit of inspectie.
• Ketenpartners vergeten. Gemeenschappelijke regelingen die hun status niet hebben getoetst en leveranciers zonder passende afspraken vormen blinde vlekken.
• Uitgezonderde maatregelen laten vallen. De maatregelen die buiten de Cbw vallen, gelden nog steeds als zelfregulering en privacy valt onder de AVG.
• Met een verouderde versie werken. De regeling verwijst naar versie 1.3. Werk je met versie 1.2, controleer dan de verschillen.
• Het meldproces niet oefenen. De termijnen uit de Cbw zijn kort. Een procedure die nooit is geoefend, werkt bij een echt incident zelden soepel.

Hoe verhoudt de BIO2 zich tot de Cyberbeveiligingswet?

De BIO2 is voor overheidsorganisaties de concrete invulling van de zorgplicht uit de Cyberbeveiligingswet. De Cbw, de Nederlandse uitvoering van de Europese NIS2 richtlijn, trad op 15 augustus 2026 in werking en verving de Wet beveiliging netwerk en informatiesystemen (Wbni) (Rijksoverheid, 15 augustus 2026).

Naast de zorgplicht kent de Cbw een registratieplicht, een meldplicht voor significante incidenten en een plicht voor bestuurders om een training te volgen. Voor gemeenten gelden bij melden de termijnen van 24 uur voor een vroege waarschuwing, 72 uur voor een uitgebreidere melding en een maand voor het eindverslag (VNG). Wanneer een incident significant is, staat voor centrale en decentrale overheden in artikel 6 van de regeling. Hoe dit allemaal samenhangt, lees je in ons artikel over de relatie tussen de BIO2 en de Cyberbeveiligingswet.

Veelgestelde vragen

Is de BIO2 verplicht voor gemeenten?

Ja. Gemeenten zijn essentiële entiteiten onder de Cyberbeveiligingswet en de Cyberbeveiligingsregeling sector overheid verplicht hen sinds 15 augustus 2026 de overheidsmaatregelen uit BIO2 versie 1.3 toe te passen. Voordien was de BIO2 voor gemeenten een richtinggevend kader (VNG; Digitale Overheid).

Moet je ISO 27001 gecertificeerd zijn om aan de BIO2 te voldoen?

De regeling vraagt dat je de managementsystematiek van ISO/IEC 27001 toepast en dat je opzet, bestaan en werking van je maatregelen aantoont. Een certificaat staat niet als eis in de regeling (Stcrt. 2026, 27679). Een certificaat kan wel helpen om de werking van je managementsysteem aan te tonen.

Welke versie van de BIO2 moet ik gebruiken?

BIO2 versie 1.3, zoals gepubliceerd in de Staatscourant (Stcrt. 2026, 7416). Daar verwijst de ministeriële regeling naar. Bij verschillen gaat de regeling voor (Digitale Overheid).

Geldt de BIO2 ook voor een gemeenschappelijke regeling?

Dat hangt af van de toets aan de overheidscriteria uit de Cbw, die de gemeenschappelijke regeling zelf uitvoert. Valt ze onder de wet, dan is zij zelf verantwoordelijk voor de naleving. Valt ze erbuiten, dan werkt de BIO2 door via de deelnemende organisaties als opdrachtgever (VNG; Digitale Overheid).

Wat is het belangrijkste verschil tussen BIO en BIO2?

De BIO2 laat de drie basisbeveiligingsniveaus los en werkt risicogestuurd, sluit aan op ISO/IEC 27002:2022 en heeft via de Cbw een wettelijke basis gekregen. De volledige vergelijking staat in ons artikel van BIO naar BIO2.

Wie houdt toezicht op de BIO2?

Voor ministeries, provincies, gemeenten en onder de Cbw vallende gemeenschappelijke regelingen en zelfstandige bestuursorganen is dat de Rijksinspectie Digitale Infrastructuur. Voor waterschappen is dat de Inspectie Leefomgeving en Transport (Stcrt. 2026, 27674; Stcrt. 2026, 24155).

Wil je weten waar je organisatie staat ten opzichte van BIO2 versie 1.3, of zoek je hulp bij de risicoanalyse, de verklaring van toepasselijkheid en de verantwoording? Bekijk dan de BIO2 begeleiding van Novins, waar we de norm vertalen naar beleid en maatregelen die passen bij de omvang van jouw organisatie.

Bronnen

• Baseline Informatiebeveiliging Overheid (BIO), Digitale Overheid (laatst gewijzigd 8 september 2026, geraadpleegd 27 oktober 2026)
• BIO2 vastgesteld: vernieuwde Baseline Informatiebeveiliging Overheid, Digitale Overheid (24 september 2025)
• BIO2 versie 1.3 voor alle bestuurslagen, Digitale Overheid (maart 2026)
• Cyberbeveiligingsregeling sector overheid, Staatscourant 2026, 27679 (5 augustus 2026)
• Besluit aanwijzing toezichthouders en verlening mandaat en machtiging Cyberbeveiligingswet sector overheid, Staatscourant 2026, 27674 (14 augustus 2026)
• Besluit aanwijzing toezichthouders Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten (IenW), Staatscourant 2026, 24155 (13 juli 2026)
• Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten: nieuws en updates, VNG (bijgewerkt 20 augustus 2026)
• ENSIA, VNG (geraadpleegd 27 oktober 2026)
• Notitie verantwoordingsstelsel ENSIA 2025, VNG (augustus 2025)
• ENSIA, Digitale Overheid (laatst gewijzigd 9 mei 2026)
• Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht, Rijksoverheid (15 augustus 2026)
• Infosheet registratieplicht Cyberbeveiligingswet, NCSC (september 2025)
• Baseline Informatiebeveiliging Overheid versie 1.04zv (17 juni 2020)
• BIO2: vernieuwde Baseline Informatiebeveiliging Overheid gepubliceerd, Kiwa (secundaire bron) (28 oktober 2025)
• Key changes in ISO/IEC 27002:2022, SGS (secundaire bron) (juli 2022)
• Overheidsinstanties moeten een FG aanstellen, Binnenlands Bestuur (secundaire bron) (15 mei 2018)
• Website Baseline Informatiebeveiliging Overheid (CIP) (geraadpleegd 27 oktober 2026)